Questa è un’ottima osservazione e molto precisa. 
Gli upload hanno un user_id, ma quello è solo l’utente originale che ha creato l’upload.
Convertire quel codice in:
Upload.where(id: params.upload_ids).joins(:user_uploads).where(user_uploads: { user_id: guardian.user.id })
risolverà il problema.
Puoi inviare una PR!